Qu’est-ce qu’un botnet — et pourquoi votre routeur en fait peut-être déjà partie

Twitter, Netflix, Spotify, Reddit et PayPal ont tous été plongés dans le noir le même après-midi — non pas à cause d’une défaillance de leurs propres centres de données, mais parce que des dizaines de milliers de routeurs domestiques, de caméras et de moniteurs pour bébé ont passé deux heures à inonder un seul fournisseur DNS de 1,2 térabit de trafic par seconde. Les propriétaires de ces appareils n’avaient aucune idée que tout cela se produisait.

L’attaque était l’œuvre de Mirai, un logiciel malveillant qui avait discrètement recruté environ 600 000 appareils connectés à Internet en scannant les gadgets protégés uniquement par des mots de passe par défaut d’usine. Le mot « botnet » combine « bot » (abréviation de robot logiciel) et « network » (réseau). Chaque appareil infecté est appelé zombie : il continue de fonctionner normalement pour son propriétaire tout en exécutant silencieusement les ordres d’un opérateur criminel distant.

Comment les appareils sont recrutés

Les botnets se développent par plusieurs voies d’infection. Les courriels de phishing contiennent des pièces jointes malveillantes qui installent un logiciel malveillant lorsqu’elles sont ouvertes. Les logiciels non mis à jour exposent des vulnérabilités connues que des scanners automatisés parcourent Internet pour trouver. Les téléchargements furtifs compromettent les appareils lorsqu’un utilisateur visite une page truffée de code d’exploitation.

La voie qui connaît la croissance la plus rapide est plus simple : les identifiants par défaut. Les routeurs, caméras, téléviseurs intelligents et disques de stockage réseau sont systématiquement livrés avec des mots de passe identiques — « admin/admin », « admin/password » — que des millions d’utilisateurs ne changent jamais. Mirai n’avait besoin de rien de plus sophistiqué qu’une liste de 61 paires d’identifiants par défaut et d’un accès aux ports Telnet ouverts.

L’infrastructure de commandement

Une fois infecté, un appareil rejoint un réseau de commande et de contrôle qui permet à l’opérateur d’envoyer des instructions à des milliers ou des millions de machines à la fois. L’architecture la plus simple utilise un serveur central : efficace, mais un point de défaillance unique que les forces de l’ordre peuvent fermer. Les botnets sophistiqués utilisent des modèles pair-à-pair où les bots se relaient les instructions, sans point d’étranglement unique. D’autres font tourner leurs adresses de serveur toutes les quelques minutes — une technique appelée DNS à flux rapide — pour devancer les listes de blocage.

Les opérations parrainées par des États adoptent une approche différente. Volt Typhoon, un groupe lié au renseignement chinois ciblant les infrastructures critiques américaines, a évité tout logiciel malveillant depuis au moins 2021, opérant via des outils système légitimes et des routeurs compromis qui restent indétectés pendant des mois.

Ce que fait réellement le réseau

Le modèle de revenus d’un botnet est diversifié. Le DDoS en tant que service est le produit le plus visible : louer une capacité d’attaque à des clients qui veulent mettre hors ligne le site web d’un concurrent ou un service gouvernemental. Les campagnes de spam acheminent des milliards de courriels de phishing via une infrastructure infectée, en faisant tourner les adresses IP en permanence pour éviter les listes de blocage. Le bourrage d’identifiants utilise des nœuds de botnet pour tester des paires de connexion volées sur des milliers de services simultanément, en répartissant les tentatives suffisamment finement pour éviter les limites de taux.

Le cryptominage détourne les cycles CPU et GPU inactifs des appareils pour générer des monnaies de confidentialité. La fraude au clic simule un engagement publicitaire à grande échelle. Le modèle de service proxy est peut-être le plus rentable de tous : louer des IP infectées comme proxys résidentiels à des clients qui ont besoin d’un trafic semblant provenir de vraies maisons plutôt que de centres de données. Le réseau 911 S5, démantelé par les autorités américaines en mai 2024, a exploité 28 millions d’adresses IP compromises comme infrastructure à louer pendant plus d’une décennie, générant environ 150 millions de dollars avant que des actes d’accusation fédéraux ne soient rendus publics.

Les cas qui ont défini la menace

Mirai a établi la référence moderne en matière d’échelle et de conséquences. Son attaque contre le fournisseur DNS Dyn a perturbé plus de services Internet en un seul après-midi que tout événement précédent. Ses créateurs ont ensuite publié le code source publiquement, semant des dizaines de botnets successeurs qui restent actifs aujourd’hui.

Emotet a fonctionné à partir de 2014 en tant que cheval de Troie bancaire et a évolué en une plateforme de botnet en tant que service louée par d’autres groupes criminels. À son apogée, il avait infecté environ quatre millions d’appareils dans 180 pays. Une opération coordonnée de démantèlement par des agences de neuf pays l’a perturbé en janvier 2021. Il s’est reconstruit via un accès vendu par le gang TrickBot et a repris ses opérations douze mois plus tard.

Parmi les cas les plus marquants récents : un réseau de proxys résidentiels qui a transformé secrètement 17 millions d’appareils en infrastructure criminelle à louer avant que ses opérateurs ne soient arrêtés.

Comment savoir si votre appareil est infecté

La plupart des appareils compromis ne donnent aucun signal dramatique. Une utilisation constante de la bande passante élevée lorsque l’appareil devrait être inactif, une activité CPU inattendue, des connexions vers des IP inconnues visibles dans les journaux de trafic du routeur, ou des notifications de votre fournisseur d’accès Internet signalant un trafic sortant inhabituel peuvent tous indiquer une compromission. Certains FAI informent activement leurs clients lorsqu’un appareil sur leur ligne apparaît sur des listes de blocage de botnets.

Réduire votre exposition

La mesure la plus efficace est de changer les mots de passe par défaut d’usine sur chaque appareil connecté avant de le brancher : routeurs, caméras, imprimantes, disques de stockage réseau. Ensuite : maintenir le firmware à jour sur tous les appareils, désactiver Universal Plug and Play (UPnP) sur votre routeur sauf si vous l’utilisez activement, et placer les appareils IoT sur un segment réseau séparé, loin des ordinateurs contenant des données sensibles.

Un logiciel de surveillance réseau peut signaler des connexions sortantes anormales avant qu’elles n’apparaissent sur une alerte du FAI. Les outils existent. Les invites de mise à jour apparaissent. Les botnets sont vastes parce que la plupart des gens ignorent les deux.

Étiquettes: cybersécurité, botnet, malware, DDoS, Mirai, sécurité IoT